4 Möglichkeiten, wie Cybersicherheitsexperten der Regierung die Missionssicherung mit Zero Trust sicherstellen

Für Sicherheitsteams des Bundes ist die Missionssicherung unerlässlich. Bewerbungen müssen jederzeit verfügbar sein, um den Erfolg der Mission sicherzustellen.

Der beste Weg, Missionsresistenz zu erreichen, sind die Zero-Trust-Prinzipien. Zero Trust basiert auf der Denkweise, dass Verstöße unvermeidlich sind, und dem Mantra „Niemals vertrauen, immer überprüfen“. Daher kann Zero Trust Regierungsbehörden dabei unterstützen, Mission Assurance in ihre Sicherheitsstrategie zu integrieren.

Um Zero-Trust-Strategien und Best Practices für Mission Assurance zu teilen, trafen sich die Cybersicherheitsexperten des Bundes Gary Barlet, Federal CTO bei Illumio und ehemaliger CIO im Office of the Inspector General des U.S. Postal Service, Mark Stanley, Enterprise Cybersecurity Architecture für die NASA, und David Bottom, CIO der Securities and Exchange Commission, zu einem Webinar mit dem Federal News Network.

Sehen Sie sich das vollständige Webinar an hier.

Lesen Sie weiter, um eine Zusammenfassung ihrer Diskussion und wichtige Empfehlungen zur Implementierung von Zero Trust in Ihrer Behörde zu erhalten.

Warum müssen Bundesbehörden Zero Trust für die Missionssicherung einführen?

Eine Zero-Trust-Sicherheitsstrategie hilft Behörden bei der Beantwortung der Frage: Wie sind wir erfolgreich, wenn etwas schief geht?

„Wenn alle Systeme normal funktionieren, ist das großartig“, erklärte Barlet. „Aber was ist, wenn Dinge angegriffen werden?“

Zero Trust geht davon aus, dass es nur eine Frage der Zeit ist, bis es zu einem Verstoß kommt. Diese Denkweise sorgt für Sicherheit, die Teams nicht nur dabei unterstützt, sich eines Angriffs bewusst zu werden und ihn abzuwehren, sondern auch die Systeme am Laufen zu halten, unabhängig davon, ob sie intern oder öffentlich eingesetzt werden.

Barlet weist darauf hin, dass „die NASA nicht einfach während eines Starts Dinge ausschalten kann“, und fast alle anderen Agenturen auch nicht. Wenn Systeme aufgrund eines Angriffs eines Widersachers offline gehen, kann das Leben von Mitarbeitern und Bürgern in Gefahr geraten und die Behörden verlieren das Vertrauen der Beteiligten.

Die Diskussionsteilnehmer waren sich einig, dass ein Set-and-Forget-Ansatz in Bezug auf Cybersicherheit nicht ausreicht, um Systeme betriebssicher zu halten.

„Mission Assurance ist keine statische Übung“, sagte Bottom. „Erwartungen und Anforderungen ändern sich ständig. Sie müssen bei der Planung, die wir durchführen, berücksichtigt werden.“

Den Diskussionsteilnehmern zufolge muss ein Teil dieser Planung eine Zero-Trust-Infrastruktur beinhalten, die die Fähigkeit der Gegner einschränkt, sich seitlich durch das Netzwerk zu bewegen. Dies hilft, den Explosionsradius — oder die Auswirkung — eines Angriffs auf das System zu begrenzen und die Widerstandsfähigkeit während eines aktiven Angriffs aufrechtzuerhalten.

„Einer der wichtigsten Vorteile von Zero Trust ist die Fähigkeit, den Explosionsradius zu begrenzen“, erklärte Stanley. „Wenn jemand, der versucht, einen Malware-Angriff auszuführen, in der Lage ist, mein Konto zu kompromittieren, könnte er im Rahmen eines Zero-Trust-Szenarios mit den geringsten Rechten nur gegen die Dinge vorgehen, auf die ich Zugriff habe, und nichts weiter.“ Zero Trust, fügte er hinzu, „verhindert laterale Bewegungen im Netzwerk.“

Wie Barlet erklärte, ist diese Arbeit nie etwas, das jemals endet oder vollständig erreicht wird. Zero-Trust-Sicherheit ist ein fortlaufender Prozess.

„Es wird niemals ein Ende der Zero-Trust-Reise geben“, sagte Barlet. „Die Bedrohungen, denen Sie ausgesetzt sind, haben niemals ein Ende. Deshalb wird die Reise von Zero Trust niemals enden.“

4 Anforderungen für den Aufbau einer Missionssicherung mit Zero Trust

Den Diskussionsteilnehmern zufolge sind dies ihre vier wichtigsten Empfehlungen für Agenturen, die Zero Trust implementieren:

1. Verschaffen Sie sich einen umfassenden Überblick

Entscheidend für diese nie endende Reise: „Eine gute, starke Sichtbarkeit in Ihrem gesamten Unternehmen“, so Barlet. Das Wort Unternehmen ist entscheidend. Es bedeutet nicht nur Sichtbarkeit der Infrastrukturelemente, für die Behörden traditionell Perimeterschutzmaßnahmen installiert haben. Die Sichtbarkeit erstreckt sich auf Anwendungen, Daten und die Art und Weise, wie sie miteinander interagieren.

„Anwendungen haben eine innere Konnektivität, für die Behörden oft blind sind“, sagte Barlet. Um die von der CIA genannten fünf Säulen von Zero Trust abzusichern, müssen Behörden „zunächst verstehen, was in ihrem Unternehmen vor sich geht und wie die Dinge tatsächlich miteinander verknüpft sind“.

„Man braucht einen objektiven Blick nicht darauf, was die Leute glauben, vor sich geht, sondern darauf, was tatsächlich vor sich geht“, sagte Barlet. „Man muss die Verbindungen und den Verkehrsfluss in Echtzeit sehen.“ Er fügte hinzu, wenn Illumio einem Kunden diese Abhängigkeiten und Verbindungen zeigt, „sind sie in der Regel so unterschiedlich, dass er einen Herzinfarkt bekommt, um ehrlich zu sein.“

2. Erstellen Sie eine flexible, anpassungsfähige Architektur

Die heutigen Netzwerke ändern sich ständig. Sicherheitsteams können sich nicht mehr auf das traditionelle Modell statischer Netzwerke verlassen, die sich nur langsam ändern.

„Jedes Zero-Trust-Modell oder jede Zero-Trust-Architektur muss in der Lage sein, sich an all diese schnellen Veränderungen anzupassen“, sagte Barlet.

Während Behörden virtuelle Maschinen erstellen und entfernen oder Einstellungen neu konfigurieren, muss die Cybersicherheit diesen Änderungen konsequent folgen.

3. Setzen Sie Zero Trust in allen Umgebungen ein, einschließlich Endpunkten, OT und IoT

Alle drei Experten waren sich einig, dass Zero Trust auf Benutzergeräte, nicht nur auf Benutzer, sowie auf OT und IoT, die mit dem Netzwerk interagieren, ausgedehnt werden muss.

Laut Stanley überwacht sein Team ständig die Geräteaktivität der NASA-Systeme. Sie suchen nach Anomalien, die das Vertrauen in einen bestimmten Zugriffsversuch beeinflussen können.

„Das Schöne an Zero Trust ist, dass es Aktivitäten überwacht und die Ergebnisse in Echtzeit anpasst“, sagte Stanely.

Dadurch wird sichergestellt, dass alle Probleme vom Sicherheitsteam der NASA schnell erkannt, priorisiert und behoben werden, um sicherzustellen, dass die Mission fortgesetzt werden kann.

4. Integrieren Sie Zero-Trust-Sicherheit in Entwicklungsprozesse

Barlet empfahl, die Zero-Trust-Prinzipien in die Entwicklung neuer Anwendungen in DevSecOps-Prozessen einfließen zu lassen. Entwickler verwenden Open-Source-Code, und die Cybersicherheit muss Zero Trust einbeziehen, um diese Anwendungen zu sichern.

„Die Realität in der heutigen Codeentwicklung ist, dass niemand mehr jede einzelne Codezeile alleine schreibt. Sie laden Module herunter und verwenden Open-Source-Code „, erklärte Barlet. „All diese Softwareteile haben Abhängigkeiten und Verbindungen, deren sich die Behörde bewusst sein und sie in das Zero-Trust-Programm einbeziehen muss.“

Behörden können diese Abhängigkeiten erkennen, indem sie einen Einblick in die Kommunikationsflüsse im Netzwerk erhalten. Anschließend können sie Sicherheitsrichtlinien festlegen, die sicherstellen, dass alle Sicherheitslücken geschlossen werden und nur der erforderliche Zugriff gewährt wird.

Kontaktieren Sie uns noch heute um zu erfahren, wie Illumio Ihre Regierungsbehörde schützen kann.